7月6日，Sui生态去中心化金融（DeFi）协议Scallop遭遇安全事件，一名攻击者利用其旧版V2奖励合约中的漏洞，盗取了约150,098枚SUI（价值约15万美元）。尽管损失规模不小，但得益于协议的模块化设计，核心流动性池安然无恙，市场并未出现恐慌性出逃。
漏洞细节：被遗忘的旧合约路径
据Scallop团队披露，本次攻击的根源在于一个被遗弃的旧版V2合约。该合约在用户质押时未能正确设置“last_index”参数，导致系统从质押起始点而非实际质押时刻开始计算奖励。随着系统指数增长至约11.9亿，攻击者凭借约13.6万枚sSUI（代表质押份额）的仓位，瞬间撬动了约15万SUI的虚增奖励，并将其转入单一钱包地址。
这一机制表明，攻击者对合约逻辑有深入理解，精准找到了“被遗忘的代码路径”。Scallop团队迅速回应，冻结了受影响的奖励合约，阻止了损失进一步扩大。团队强调，核心借贷与存储合约从未被突破，所有用户存款安全无虞。
市场反应：TVL企稳，信心未溃
事件发生后，Scallop协议的总锁仓价值（TVL）维持在2237万美元附近，未出现大规模资金外逃。这表明用户对协议的核心安全性仍有基本信任，且团队“100%赔付受损用户”的承诺起到了稳定军心的作用。分析人士指出，此次事件暴露了DeFi协议中“外围绕过核心”的风险——老旧合约或边缘模块可能成为攻击的薄弱环节，即使核心逻辑经过审计也难以完全避免。
从市场情绪看，SUI代币价格在事件后仅出现小幅波动，未引发连锁反应。Scallop的快速反应与全额赔付有助于修复短期信任，但用户对协议的攻击面管理将保持持续关注。如果未来TVL能继续稳定或增长，则说明市场已消化此次事件；反之，若出现延迟流出，则暗示用户仍在重新评估风险。
行业启示：模块化设计的双刃剑
Scallop事件再次凸显了模块化架构的优劣：一方面，核心池的隔离状态避免了系统性灾难；另一方面，外挂模块的漏洞仍能造成实质性损失。对于DeFi协议而言，当旧合约被新版本替代后，如何安全地退役或冻结这些代码路径，成为风险管理的关键一环。
目前，Scallop团队已完成漏洞修复并重启正常运营。事件虽造成短期震荡，但未动摇Sui生态DeFi的基本盘。社区普遍认为，在成熟的加密市场中，快速响应与全额赔付是维系用户信任的“标准答案”。